Antivirus und Ausschlüsse

Ja, Stoïk empfiehlt dringend, vor der Installation Ihres Stoïk MDR EDR (CrowdStrike oder SentinelOne) jegliche vorhandene Antiviren- oder andere EDR-Lösung zu deinstallieren, um Konflikte zu vermeiden, die das ordnungsgemäße Funktionieren der Lösung beeinträchtigen könnten.

CrowdStrike

Die Stoïk-Teams haben eine schrittweise Bereitstellung in drei Phasen implementiert, um das Risiko von Blockaden und die Auswirkungen auf die Arbeitsstationen der Benutzer zu begrenzen. Phase 1 ermöglicht es Ihnen, den EDR zu installieren, während Sie Ihr Antivirenprogramm oder Ihren EDR beibehalten. Daher ist es unerlässlich, Ihre vorherige Antiviren- oder EDR-Lösung zu deinstallieren, bevor Sie zu Phase 2 übergehen.

Wenn Sie ihn nicht deinstallieren, bevor Sie zu Phase 2 übergehen, kann beim Neustart der Arbeitsstation ein „Bluescreen“ auftreten.

Einige Antiviren- oder EDR-Lösungen, ob Einzweck- oder Mehrzwecklösungen, können jedoch bereits in Phase 1 der Bereitstellung zu Blockaden führen. Diese Lösungen sind später in diesem Dokument aufgeführt.

SentinelOne

SentinelOne verwendet keine schrittweise Bereitstellung: Der vollständige Schutz ist sofort nach der Installation aktiv. Daher ist es unerlässlich, Ihre vorherige Antiviren- oder EDR-Lösung vor der Installation von SentinelOne zu deinstallieren, um Konflikte zu vermeiden.

Einzweck-Antivirenprogramme

Diese Programme haben nur eine Funktion: den Virenschutz.

CrowdStrike

• Bitdefender: muss während Phase 1 der Bereitstellung deinstalliert werden. Wenn Sie ihn nicht deinstallieren, kann beim Neustart Ihres Computers ein Bluescreen auftreten.

• Trend Micro: muss ab Bereitstellungsphase 2 deinstalliert werden, andernfalls können Fehlermeldungen erscheinen.

• macOS: Keine bekannten Konflikte, keine Aktion erforderlich.

SentinelOne

• Bitdefender und Trend Micro: muss vor der Installation deinstalliert werden, da SentinelOne keine schrittweise Bereitstellung verwendet.

• macOS: Keine bekannten Konflikte, keine Aktion erforderlich.

Mehrzwecklösungen

Diese Softwareprogramme bieten mehrere Sicherheitsfunktionen in einem einzigen Tool: Antivirus, Firewall, USB-Gerätesteuerung, integriertes EDR usw. Häufige Beispiele sind WithSecure, ESET, und Kaspersky.

CrowdStrike

Deaktivieren Sie einfach nur die Antivirenfunktion, es ist nicht nötig, die gesamte Software zu deinstallieren.

Für Windows Defender, muss nicht deinstalliert werden; es ist vollständig mit Ihrem EDR kompatibel. Es bleibt in Phase 1 aktiv, und die Antiviren-Engine wird in Phase 2 automatisch deaktiviert.

SentinelOne

Diese Lösungen müssen vollständig deinstalliert werden, bevor SentinelOne installiert wird, da es keine schrittweise Bereitstellung gibt, die einen vorübergehenden Konflikt tolerieren würde.

Die einzige Ausnahme ist Windows Defender: Sie muss nicht deinstalliert werden, sie ist vollständig mit SentinelOne kompatibel, und die Antiviren-Engine wird automatisch deaktiviert, sobald SentinelOne installiert ist.

Achtung vor Nebenwirkungen unter Windows:

Wenn Sie die Mehrzwecklösung vollständig deaktivieren und sie zuvor Ihre Firewall verwaltet hat, dann:

• Die Windows-Firewall übernimmt automatisch die Kontrolle.

• Sie wendet jedoch ihre eigenen Standardregeln an, die sehr restriktiv sind.

• Dies kann Ihre Netzwerkverbindungen vollständig blockieren.

Die Lösung besteht darin, Ihre lokale Windows-Firewall mit den erforderlichen Regeln und Ausnahmen neu zu konfigurieren, um die erwarteten Verbindungen wiederherzustellen.

Beispiel einer Fehlermeldung:

Ausschlussregeln

Die Verwaltung von Anwendungsflüssen über Ausschlussregeln ist ein Ansatz, der für herkömmliche Antivirenlösungen spezifisch ist, aber er nicht gilt für einen EDR wie CrowdStrike oder SentinelOne.

Unterschied in der Funktionsweise zwischen Antivirenprogramm und EDR

• Antivirus: scannt proaktiv alle inaktiven Dateien auf dem System (ob ausgeführt oder nicht). Dadurch entsteht eine große Anzahl von Scans, und es sind zahlreiche Ausnahmen erforderlich, um Fehlalarme bei inaktiven Dateien zu vermeiden.

• EDR (CrowdStrike, SentinelOne): konzentriert sich nur auf tatsächlich ausgeführte Dateien und auf dynamische Systemverhalten (Prozesse, Verbindungen, Benutzeraktionen usw.). Es findet kein kontinuierlicher Vollscan der Festplatte statt; inaktive Dateien werden außer bei manuellen Scans nicht analysiert.

Da ein EDR verdächtige Verhaltensweisen statt Signaturenanalysiert, ist das Ausschließen eines Ordners von der Analyse nicht erforderlich.

Das Ausschließen eines Ordners hätte negative Auswirkungen: Wenn in diesem Ordner verdächtiges Verhalten aufträte, könnte der EDR es nicht erkennen. Das bleibt jedoch technisch möglich, wenn der Bedarf von unserem SOC-Team bestätigt wird.

Intelligente Prävention und reaktives Ausschlussmanagement

Ihr EDR integriert eine Reihe präventiver Mechanismen, um Fehlalarme ohne manuelles Eingreifen zu begrenzen:

• Vorkonfigurierte Ausnahmelisten werden während der Bereitstellung automatisch angewendet.

• Im Falle einer verdächtigen Erkennung, die eine Geschäftsanwendung betrifft, wird das Programm vorübergehend blockiert und anschließend von unserem SOC analysiert, bevor irgendeine endgültige Maßnahme ergriffen wird.

Um potenzielle unerwünschte Auswirkungen auf den Geschäftsbetrieb zu vermeiden, wird eine vollständige Isolierung durchgeführt nur manuell, entweder nach Analyse durch unser SOC-Team oder durch Sie.

Ausschlüsse sollten nicht im Voraus definiert werden

Der Versuch, Ausschlüsse im Voraus zu antizipieren, bevor eine Erkennung erfolgt, stellt ein erhebliches Risiko dar:

• Es bedeutet, potenziell bösartige Verhaltensweisen präventiv auszuschließen, nur weil sie mit einer bekannten Geschäftsanwendung verbunden sind.

• Ergebnis: Sie riskieren, die Erkennungsfähigkeiten des EDR zu neutralisieren, sodass bestimmte Angriffe unentdeckt bleiben können.

Bei Stoïkwerden Ausschlüsse nur als Reaktion auf eine echte Erkennungauf Grundlage der SOC-Analyse behandelt.

Fazit

Ausschlüsse in einem EDR sind weitaus seltener und werden nur dann angewendet, wenn tatsächlich ein blockierendes Ereignis aufgetreten ist. Es ist weder notwendig noch ratsam, „präventive“ Ausschlussregeln hinzuzufügen, wie Sie es bei einem herkömmlichen Antivirenprogramm tun würden.

Konkretes Beispiel: Einer unserer Kunden (ein landesweit tätiger Einzelhändler) hatte mehr als 3.000 Arbeitsstationen und mehrere tausend Ausnahmen in seiner vorherigen Antivirenlösung. Nach dem Wechsel zu einem EDR waren keine Ausnahmen erforderlich.